El CVSS (Common Vulnerability Scoring System) es una norma internacional para medir la gravedad de las vulnerabilidades de seguridad en software y sistemas.
Índice
El CVSS utiliza criterios neutrales respecto a los proveedores y una metodología de puntuación estandarizada para expresar la gravedad de las vulnerabilidades de manera coherente y cuantitativa.
Al basarse en métricas objetivas en lugar de interpretaciones específicas de los proveedores, el CVSS permite a las organizaciones comparar vulnerabilidades entre productos, entornos e industrias utilizando un lenguaje común.
¿Cuál es el propósito del CVSS?
El propósito del CVSS es ayudar a las organizaciones a evaluar, comparar y priorizar vulnerabilidades de manera coherente en función de su gravedad. Los puntajes CVSS proporcionan una entrada estructurada en la gestión de vulnerabilidades y las decisiones de remediación basadas en riesgos.
A cada vulnerabilidad se le asigna un puntaje numérico que va de 0.0 a 10.0, que también se asigna a niveles de gravedad cualitativos:
- Bajo
- Medio
- Alto
- Crítico
Debido a su enfoque estandarizado, el CVSS es ampliamente utilizado por equipos de seguridad, proveedores, respondedores a incidentes y bases de datos de vulnerabilidades como referencia principal para la priorización de remediaciones.
¿Quién mantiene el CVSS y cómo ha evolucionado?
El CVSS es mantenido por el Grupo de Interés Especial del CVSS (CVSS-SIG) bajo FIRST (Forum of Incident Response and Security Teams). FIRST es una organización internacional de ciberseguridad centrada en mejorar la respuesta a incidentes y la coordinación de vulnerabilidades en todo el mundo.
Desde su introducción, el CVSS ha pasado por múltiples revisiones para reflejar los cambios en la tecnología y los paisajes de amenazas. La actualización más reciente fue anunciada en julio de 2023, con la versión CVSS v4.0 lanzada oficialmente en noviembre de 2023, marcando una evolución significativa en la evaluación de la gravedad de las vulnerabilidades.
FIRST describe el CVSS como un marco diseñado para proporcionar "un enfoque estandarizado para evaluar la gravedad de las vulnerabilidades y ayudar a las organizaciones a priorizar los esfuerzos de respuesta."
— FIRST (Forum of Incident Response and Security Teams)
¿Qué es el CVSS v4.0 y por qué es importante?
El CVSS v4.0 es la última versión principal del marco CVSS, diseñada para abordar las limitaciones estructurales de versiones anteriores. Mejora la precisión de la puntuación, reduce la ambigüedad y expande la aplicabilidad más allá de los entornos de TI tradicionales.
Lo más notable es que el CVSS v4.0 introduce una separación más clara de las métricas, una mayor granularidad en la puntuación y un soporte explícito para la Tecnología Operacional (OT), los Sistemas de Control Industrial (ICS) y los entornos IoT, reflejando cómo operan realmente las organizaciones modernas.
¿Cuáles son los grupos de métricas que componen el CVSS v4.0?
El CVSS v4.0 se compone de cuatro grupos de métricas que evalúan la gravedad de las vulnerabilidades desde diferentes perspectivas. Estos grupos se pueden combinar para calcular puntajes alineados con casos de uso específicos.
Los cuatro grupos de métricas son:
- Métricas Base – Miden la gravedad intrínseca de una vulnerabilidad
- Métricas de Amenaza – Reflejan la actividad de explotación en el mundo real
- Métricas Ambientales – Personalizan la gravedad según el contexto organizacional
- Métricas Suplementarias – Proporcionan contexto adicional relacionado con la respuesta
Cada grupo cumple un propósito distinto dentro de los flujos de trabajo de evaluación y respuesta a vulnerabilidades.
¿Qué son las Métricas Base del CVSS?
Las Métricas Base miden la gravedad inherente de una vulnerabilidad, independientemente de las condiciones externas. Evalúan tanto la dificultad de explotar una vulnerabilidad como el impacto potencial si se produce la explotación.
Las Métricas Base son típicamente evaluadas por el proveedor del producto y, una vez definidas, permanecen estables en el tiempo. En el CVSS v4.0, las Métricas Base se han refinado para mejorar la claridad y la granularidad, permitiendo una puntuación de gravedad más precisa.
¿Qué son las Métricas de Amenaza del CVSS?
Las Métricas de Amenaza evalúan cómo se está explotando una vulnerabilidad en condiciones del mundo real. Este grupo de métricas se centra en la existencia de código de explotación y en si se ha observado explotación en la naturaleza.
Debido a que la actividad de las amenazas cambia con el tiempo, las Métricas de Amenaza son inherentemente dinámicas y generalmente son evaluadas por los consumidores de vulnerabilidades utilizando inteligencia de amenazas y contexto operativo.
Las consideraciones clave incluyen:
- Disponibilidad de código de explotación
- Evidencia de explotación activa o generalizada
¿Qué son las Métricas Ambientales del CVSS?
Las Métricas Ambientales adaptan la gravedad de las vulnerabilidades al entorno específico de una organización. Tienen en cuenta cuán crítico es el sistema afectado para la confidencialidad, integridad y disponibilidad dentro de una organización dada.
Como resultado, los puntajes de las Métricas Ambientales pueden variar significativamente entre organizaciones dependiendo del rol del sistema, el impacto en el negocio y las restricciones operativas.
¿Qué son las Métricas Suplementarias del CVSS?
Las Métricas Suplementarias proporcionan información contextual adicional para apoyar las decisiones de respuesta a vulnerabilidades. Aunque no influyen en los cálculos de puntajes CVSS, ofrecen información valiosa para la planificación de la remediación.
Ejemplos de factores capturados por las Métricas Suplementarias incluyen:
- Nivel de automatización de ataques
- Complejidad de la recuperación
- Esfuerzo necesario para restaurar los sistemas afectados
Estas métricas ayudan a las organizaciones a pasar de la evaluación de la gravedad a la planificación práctica de la respuesta.
¿Qué tipos de puntajes CVSS existen en el CVSS v4.0?
El CVSS v4.0 admite múltiples tipos de puntajes basados en diferentes combinaciones de grupos de métricas. Esto permite a las organizaciones evaluar la gravedad de las vulnerabilidades desde perspectivas de base, ambientales y de amenazas en tiempo real.
Los principales tipos de puntajes CVSS incluyen:
- CVSS-B – Solo puntaje base
- CVSS-BE – Base + Ambiental
- CVSS-BT – Base + Amenaza
- CVSS-BTE – Base + Amenaza + Ambiental
Por ejemplo, las organizaciones que evalúan la gravedad de las vulnerabilidades en su propio entorno generalmente confían en el CVSS-BE, mientras que aquellas que incorporan inteligencia de amenazas activa utilizan el CVSS-BTE.
¿Qué ha cambiado en el CVSS v4.0 en comparación con el CVSS v3.1?
El CVSS v4.0 se desarrolló para abordar desafíos bien documentados en el CVSS v3.1. Con el tiempo, el CVSS v3.1 se volvió cada vez más desalineado con los sistemas modernos y las condiciones de amenaza.
FIRST identificó varios problemas clave, incluyendo:
- Dependencia excesiva de los puntajes base para el análisis de riesgos
- Influencia limitada de las Métricas Temporales (ahora Métricas de Amenaza)
- Representación insuficiente de amenazas en tiempo real
- Mala aplicabilidad a sistemas OT, ICS y críticos para la seguridad
- Acumulación excesiva de puntajes en los rangos "Alto" y "Crítico"
- Granularidad limitada de la puntuación
- Metodología de puntuación compleja y poco intuitiva
Desafíos del CVSS v3.1 según lo publicado por FIRST, resumidos y traducidos para mayor claridad.
¿Cómo mejoran estos cambios el CVSS v4.0?
Las actualizaciones introducidas en el CVSS v4.0 hacen que la puntuación de vulnerabilidades sea más precisa, accionable y relevante. Cada cambio apunta directamente a una limitación identificada en versiones anteriores.
Las mejoras clave incluyen:
- Mayor granularidad dentro de las Métricas Base
- Eliminación de la lógica de puntuación descendente ambigua
- Métricas de Amenaza simplificadas con mayor influencia en la puntuación
- Introducción de Métricas Suplementarias para el apoyo a la respuesta
- Ampliación de la aplicabilidad a entornos OT, ICS y IoT
FIRST señala que el CVSS v4.0 fue diseñado para "reflejar mejor las condiciones de explotación del mundo real y las arquitecturas de sistemas modernos."
¿Por qué la cobertura OT ampliada es el cambio más significativo en el CVSS v4.0?
La mejora más significativa del CVSS v4.0 es su inclusión explícita de los entornos de Tecnología Operacional (OT). Esta es la primera versión del CVSS que tiene en cuenta formalmente las vulnerabilidades que pueden tener implicaciones para la seguridad física.
A medida que la transformación digital continúa difuminando la línea entre TI y OT, las vulnerabilidades en los sistemas industriales pueden tener un impacto directo en la producción, la seguridad y la vida humana. El CVSS v4.0 refleja esta realidad al incorporar métricas sensibles a la seguridad y consideraciones de impacto descendente.
¿Cómo deben prepararse las organizaciones para usar eficazmente el CVSS v4.0?
Para usar eficazmente el CVSS v4.0, las organizaciones deben adaptar las prácticas de gestión de vulnerabilidades a las realidades de TI y OT. Aunque el CVSS v4.0 mejora la visibilidad, los desafíos de respuesta permanecen, particularmente en los entornos OT.
Las diferencias clave incluyen:
- Los sistemas OT priorizan la disponibilidad y la seguridad sobre la aplicación de parches
- Los entornos de despliegue a menudo están cerrados y son gestionados por proveedores
- La aplicación de parches puede ser inviable o explícitamente evitada
Sin personal que comprenda tanto los contextos de TI como de OT, las organizaciones pueden tener dificultades para actuar por sí solas sobre las percepciones de vulnerabilidad.
¿Por qué son cruciales la visibilidad de activos OT y la prevención de exploits?
La visibilidad de activos OT y la prevención de exploits son esenciales cuando la aplicación de parches tradicionales no es práctica. Las organizaciones deben primero entender qué activos OT poseen antes de poder gestionar las vulnerabilidades asociadas.
La reducción efectiva del riesgo de vulnerabilidades OT generalmente implica:
- Descubrimiento completo de activos OT
- Monitoreo continuo del tráfico de red
- Sensores y herramientas de visibilidad específicos de OT
- Aplicación de parches virtuales a través de sistemas de prevención de intrusiones (IPS) enfocados en OT
Estos controles ayudan a prevenir la explotación y a reducir el riesgo incluso cuando las vulnerabilidades no pueden ser remediadas mediante parches.
¿Dónde puedo obtener ayuda con el CVSS y la priorización de riesgos de vulnerabilidad?
Trend Vision One™ ofrece una solución de Gestión de la Exposición al Riesgo Cibernético (CREM) que va más allá de la puntuación básica del CVSS para ayudar a las organizaciones a comprender, priorizar y reducir el riesgo en toda su superficie de ataque. Combina la puntuación de la gravedad de las vulnerabilidades con inteligencia de amenazas en tiempo real y análisis contextual de riesgos, permitiendo a los equipos de seguridad tomar decisiones más rápidas e inteligentes.
Este enfoque integra capacidades clave como la Gestión de la Superficie de Ataque, la Gestión de Vulnerabilidades y la Evaluación de la Postura de Seguridad en entornos de TI, OT, nube e híbridos. No se trata solo de identificar vulnerabilidades, sino de transformar las percepciones en pasos accionables que fortalezcan la resiliencia y minimicen la exposición.
Con la Gestión de la Exposición al Riesgo Cibernético, puedes:
- Obtener visibilidad de tus activos y vulnerabilidades más críticos
- Priorizar la remediación en función del riesgo real, no solo de los puntajes teóricos
- Reducir la probabilidad de explotación a través de estrategias proactivas de reducción de riesgos
Preguntas frecuentes (FAQ)
¿Qué significa CVSS en el ámbito de la ciberseguridad?
CVSS significa Common Vulnerability Scoring System. Es un marco estandarizado utilizado para medir la gravedad de las vulnerabilidades de seguridad en software y sistemas. El CVSS proporciona puntajes numéricos que ayudan a las organizaciones a comparar vulnerabilidades de manera coherente y a priorizar los esfuerzos de remediación.
¿Qué es un puntaje CVSS?
Un puntaje CVSS es un valor numérico que representa la gravedad de una vulnerabilidad. Los puntajes van de 0.0 a 10.0, con puntajes más altos que indican un mayor riesgo. Estos puntajes se categorizan comúnmente como Bajo, Medio, Alto o Crítico.
¿Quién usa los puntajes CVSS?
Los puntajes CVSS son utilizados por equipos de seguridad, proveedores y bases de datos de vulnerabilidades en todo el mundo. Las organizaciones confían en ellos para priorizar la aplicación de parches, guiar la respuesta a incidentes y apoyar decisiones de gestión de vulnerabilidades basadas en riesgos en diversos entornos.
¿Cuál es la diferencia entre CVSS v3.1 y CVSS v4.0?
El CVSS v4.0 mejora la precisión y la aplicabilidad en comparación con el CVSS v3.1. Introduce una mayor granularidad en la puntuación, simplifica la evaluación de amenazas y amplía la cobertura a entornos OT, ICS e IoT, al tiempo que reduce la ambigüedad en la puntuación.
¿Cuáles son los grupos de métricas en el CVSS v4.0?
El CVSS v4.0 incluye cuatro grupos de métricas que evalúan la gravedad de las vulnerabilidades desde diferentes perspectivas. Estos son Métricas Base, Métricas de Amenaza, Métricas Ambientales y Métricas Suplementarias, que en conjunto apoyan una puntuación de gravedad más consciente del contexto.